1 minuto: a janela de exploração projetada para 2027

Uma análise publicada pela a16z, com dados da Epoch AI e da ZeroDayClock, colocou um número em algo que já se sentia há um tempo: até poucos anos atrás, uma vulnerabilidade recém-divulgada podia ficar sem ser explorada por semanas ou até meses. Em 2022, metade das vulnerabilidades conhecidas ainda não tinha sido explorada mesmo depois de 1,5 a 3 meses de terem se tornado públicas. Essa margem funcionava como uma rede de proteção: havia tempo para saber, corrigir e seguir em frente.

Essa margem praticamente desapareceu.

Segundo essa mesma análise, a taxa de vulnerabilidades exploradas no mesmo dia da divulgação (ou antes) quadruplicou desde 2020. O tempo mediano entre uma vulnerabilidade se tornar conhecida e ser explorada por alguém é hoje de um dia. E a projeção da a16z aponta para uma queda até um minuto ao longo de 2027.

Vale um esclarecimento importante: esse número projetado ficou em discussão. Depois da publicação original, a ZeroDayClock revisou sua metodologia, e as leituras mais recentes mostram um percentual bem menor do que o que circulou inicialmente. A tendência de fundo — a aceleração sustentada desde 2020 — se mantém; o número exato de "um minuto" deve ser tratado como projeção, não como dado fechado.

Por que o ciclo está se comprimindo

A explicação não é que existam mais atacantes ou mais motivação. É que a IA está acelerando o ciclo completo: encontrar a vulnerabilidade, entender como explorá-la e construir um exploit funcional. O que antes exigia um especialista trabalhando vários dias hoje se resolve em horas.

E isso não vale só para o lado ofensivo. A mesma tecnologia que acelera o ataque pode acelerar a defesa — mas só se estiver integrada de forma contínua ao processo de segurança, não como uma verificação pontual.

Encontrar já não é o diferencial

Durante anos, o valor de um serviço de segurança esteve na sua capacidade de encontrar vulnerabilidades. Hoje, encontrar é cada vez mais acessível: qualquer agente automático consegue escanear uma superfície e devolver uma lista de achados.

A pergunta que importa mudou. Já não é "o que encontramos?", e sim "quais desses achados são reais, quais importam primeiro e quem garante que a correção realmente aconteça?". Filtrar o ruído, priorizar com critério especializado e sustentar o processo de correção de forma recorrente é o trabalho que um agente isolado ainda não substitui.

Por que um teste pontual chega atrasado por definição

Se o tempo de exploração é medido em horas, um modelo de testes trimestral ou anual tem um problema estrutural: por melhor que seja o resultado, ele sempre estará respondendo a uma foto antiga. Uma vulnerabilidade que surge na semana 2 depois do seu último teste pode já estar sendo explorada semanas antes do próximo.

Isso não é um chamado para "testar mais rápido" — é uma mudança de modelo. A validação precisa ser contínua, embutida no fluxo de desenvolvimento (novos ativos, mudanças de código, exposição que varia), e não um evento isolado no calendário.

O que fazer com isso

A vantagem competitiva de hoje não está em reagir mais rápido que os outros. Está em não depender de reagir: ter um processo de validação e correção rodando de forma constante, para que, quando surgir a próxima vulnerabilidade crítica, já exista um caminho claro -e em andamento- para resolvê-la.

Fonte dos dados citados: a16z, "Chart of the Week" (setembro de 2026), com dados da Epoch AI e da ZeroDayClock.

‍